М ащабна кибератака срещу потребители на смартфони с операционни системи Android и iOS е провела свързваната с руското външно разузнаване хакерска група APT29, съобщи френската компания за киберсигурност „Секоя“. Сред компрометираните интернет страници е и български сайт, свързан с военната сфера.
Операцията е разкрита в средата на октомври тази година. Според изследователите тя е насочена към кражба на чувствителна информация, включително пароли, електронна кореспонденция, съобщения, данни за местоположението и достъп до потребителски профили.
Хакери задействаха фалшива ядрена тревога в Украйна
Специалистите оценяват със средна до висока степен на увереност, че зад атаките стои APT29, известна още като Midnight Blizzard и Cozy Bear. Групата от години се свързва със Службата за външно разузнаване на Русия. Разследването установява три основни начина за разпространение на зловредния код: проникване в легитимни интернет сайтове, създаване на фалшиви страници, имитиращи популярни платформи, и компрометиране на украинска услуга за уебанализ.
Сред засегнатите са сайт на украинска газодобивна компания, интернет страница от американската химическа индустрия, сайт на европейска крайнодясна политическа партия и български сайт, свързан с военната сфера.
При българския сайт нападателите са променили съществуваща JavaScript библиотека, като са внедрили зловреден код. Чрез него посетителите на страницата могат да бъдат пренасочвани към инфраструктура, контролирана от хакерите. В разследването не се разкриват името и адресът на българския сайт. Не се съобщава и дали конкретни негови посетители са били успешно атакувани.
Зеленски потвърди: Украйна е хакнала руската система за предупреждение в отговор на руска кибератака
Особено сериозен е случаят с украинската платформа за уебанализ Plerdy. Между 27 август и 3 септември нападателите са внедрили зловреден код в неин инструмент, използван от хиляди сайтове, предимно украински. Сред тях има интернет ресурси, свързани с армията, специалните части и производители на военно оборудване, включително безпилотни летателни апарати. По този начин посетителите на легитимни сайтове са могли да бъдат изложени на опасност, без да извършват действия извън обичайното разглеждане на интернет страници.
При посещение на компрометиран сайт зловредният код установява операционната система и версията на браузъра на потребителя. След това сървърът на нападателите може автоматично да задейства подходяща атака срещу уязвимото устройство.
За определени версии на iOS са използвани инструменти, позволяващи извличане на бисквитки от браузъра, чрез които нападателите могат да получат достъп до вече отворени потребителски сесии, включително електронна поща.
При други версии на операционната система е използван инструментът DarkSword, способен да извлича значително по-широк набор от информация: SMS съобщения, данни от iMessage, WhatsApp и Telegram, запазени пароли, снимки, контакти, информация за местоположението и здравни данни.
Атаките срещу Android са насочени към определени версии на браузъра Chrome. Използваните уязвимости позволяват кражба на запазени данни за вход в потребителски профили, история на сърфирането и пароли за Wi-Fi мрежи.
Нова вълна от шпионски атаки срещу iPhone: Какво трябва да знаят потребителите в България
Изследователите уточняват, че използваните уязвимости вече са били отстранени от производителите преди началото на кампанията. Следователно атаките са насочени към устройства, на които не са инсталирани необходимите актуализации за сигурност.
Операцията включва и създаването на фалшиви копия на сайта на американската инициатива America250, посветена на 250-годишнината от независимостта на САЩ, както и на луксозния лондонски хотел „Рафълс Лондон“, разположен в историческата сграда на британското военно министерство.
Хотелът се намира близо до ключови британски държавни институции, включително Министерството на отбраната и резиденцията на министър-председателя на „Даунинг стрийт“ 10. Според експертите фалшивата страница може да е била предназначена за атаки срещу дипломати и високопоставени посетители.
„Секоя“ отбелязва, че на този етап не е ясно дали нападателите са преследвали конкретни лица, или са се стремили да съберат възможно най-голямо количество информация от незащитени мобилни устройства. Компанията работи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, включително Украйна, за установяване на потенциалните жертви и прекъсване на инфраструктурата, използвана за атаките.
